Zoom và Xerox vừa tung ra những bản vá bảo mật quan trọng để giải quyết các lỗ hổng leo thang đặc quyền và thực thi mã từ xa (RCE). Cụ thể:
- Zoom: Lỗ hổng ảnh hưởng đến Zoom Clients cho Windows (CVE-2025-49457, điểm CVSS 9.6) liên quan đến đường dẫn tìm kiếm không đáng tin cậy, mở đường cho leo thang đặc quyền. Kẻ tấn công không cần xác thực vẫn có thể lợi dụng qua truy cập mạng.
Các sản phẩm bị ảnh hưởng:
- Zoom Workplace cho Windows trước phiên bản 6.3.10
- Zoom Workplace VDI cho Windows trước phiên bản 6.3.10 (ngoại trừ 6.1.16 và 6.2.12)
- Zoom Rooms cho Windows trước phiên bản 6.3.10
- Zoom Rooms Controller cho Windows trước phiên bản 6.3.10
-
Zoom Meeting SDK cho Windows trước phiên bản 6.3.10
-
Xerox: Nhiều lỗ hổng được phát hiện trong Xerox FreeFlow Core, nghiêm trọng nhất là thực thi mã từ xa. Các sự cố đã được giải quyết trong phiên bản 8.0.4, bao gồm:
- CVE-2025-8355 (CVSS 7.5): Lỗ hổng XML External Entity (XXE) dẫn đến Server-Side Request Forgery (SSRF).
- CVE-2025-8356 (CVSS 9.8): Lỗ hổng Path Traversal dẫn đến thực thi mã từ xa.
Các lỗ hổng này rất dễ khai thác. Nếu thành công, kẻ tấn công có thể thực thi các lệnh tùy ý trên hệ thống bị ảnh hưởng, đánh cắp dữ liệu nhạy cảm hoặc di chuyển ngang trong môi trường công ty để tiếp tục tấn công.
Giải thích thuật ngữ:
- Leo thang đặc quyền: Khai thác lỗi để có quyền truy cập cao hơn trên hệ thống so với quyền được cấp ban đầu.
- Thực thi mã từ xa (RCE): Khả năng chạy mã độc trên một thiết bị từ xa mà không cần truy cập trực tiếp vào thiết bị đó.
- CVSS Score: Một hệ thống tính điểm tiêu chuẩn để đánh giá mức độ nghiêm trọng của các lỗ hổng bảo mật.
- XML External Entity (XXE): Một loại lỗ hổng cho phép kẻ tấn công chèn các thực thể XML bên ngoài vào dữ liệu XML, dẫn đến truy cập trái phép vào các tài nguyên hệ thống.
- Server-Side Request Forgery (SSRF): Một lỗ hổng cho phép kẻ tấn công khiến máy chủ thực hiện các yêu cầu HTTP đến các đích tùy ý.
